投资一千个程序员后，Anthropic发现Claude Code投资更安全

编辑｜泽南 时代变了，自动模式比人工审批还安全了。 昨日，Anthropic 宣布， 从 8 月 14 日起，自动模式将成为 Claude Code 中 Pro、Max 和 Team 用户的默认权限模式 。 自动模式使用单独的分类器审查 shell 命令和操作。在测试中，它捕获了 89% 的危险命令，而人类手动批准只捕获了 14%。看起来，现在的 Agent 工具在基础设施层的防御机制已经相对成熟，足以让官方有底气将 Auto 模式设为默认，以追求极致的开发效率。 Anthropic 表示，作出这项更改主要的原因就是在测试中，自动模式的安全性已经匹配或者超越了手动权限审查。使用自动模式，长时程的工作将更具可行性，你可以在后台运行数小时的任务，而无需监督权限。 自动模式分类器每次工具调用会使用少量额外 token，不过从今天起 Anthropic 将不再向 Pro、Max 和 Team 套餐的 Claude Code 用户收取这部分费用。 在 Agent 工具的运行期间，AI 会要求各种权限以执行任务。自动模式顾名思义不会弹出提示，而是将每次工具调用都路由到一个分类器，其旨在阻止不可逆、破坏性或针对环境之外的操作。当分类器阻止某些操作时，Claude 通常会自行寻找更安全的处理方式，或直接征求人类许可；如果无法继续（连续三次或一次会话中二十次），Claude Code 将回退到手动审批模式。 虽然可能还算不上绝对安全，但 Anthropic 已经认为到了让 AI 放手去干的阶段了。过去几个月，Anthropic 开展了一项包含 1053 名付费测试人员的对照研究，并分析了实际生产环境中的测试结果。在所有测试指标中，自动模式的表现都与人工审核相当或更优。 自动模式允许 Claude 自主运行更长时间，这使得像 Claude Opus 5 这样专为长时间运行任务而设计的模型能够更有效地处理大型任务。Anthropic 称，在 Teams 和 Enterprise 版本中，使用自动模式的用户提交的 PR 数量增加了约 25%。Adobe、Nuro、Gusto 和 Garner Health 的团队已经将自动模式设置为生产环境的默认设置。 手动审核与自动审核模式的比较 数据显示，若手动审核的话，无脑下一步会成为习惯： 在 Claude Code 中，用户批准了 97% 的权限提示 。虽然大多数提示可能都是针对安全、常规的命令，但如此高的批准率表明，许多用户只是下意识地点击，而不是仔细审查每个命令。数据还表明，用户更频繁地审查和拒绝其他类型的对话框：例如，当 Claude 展示一个计划供用户批准时，用户会拒绝其中 39% 的计划。但对于单个权限请求，拒绝率仅为 3%。 同样的模式也出现在配置文件中。截至 2026 年 6 月，49.5% 的活跃命令行用户手动创建了 Bash 允许规则 —— 其中 5% 的用户直接允许所有 shell 命令，另有 43% 的用户设置了类似 --progressBash (python:*) 或 Bash (node:*)--progress 的解释器规则，这些规则在实践中本质上是等效的 —— 而且这一比例大约每 5 周增长 5 个百分点。除了允许规则之外，62% 的用户 bypassPermissions 在 Bash 中使用过或点击过「不再询问」选项，25% 的交互式会话以绕过权限模式启动。 在自动模式下，权限规则仍然会在分类器之前生效，但允许执行任意代码的规则（例如 python:*）除外。这些任意规则在自动模式下会被忽略，因为它们会导致命令完全跳过分类器。配置文件不会被修改，切换到其他模式后，这些规则会立即重新生效。 通过自动模式提高安全性 Anthropic 内部以及第三方研究表明，自动模式比普通用户目前处理权限提示的方式更安全。 在一项有 1053 名付费专业测试人员参与的对照实验中，人工审核仅发现了 13.6% 的危险命令，而自动模式发现了 89%。 研究还表明，自动模式比手动权限模式导致的有害行为更少。 Anthropic 研究了自动模式在实际使用中的表现。2026 年 5 月至 6 月期间，其审查了安全管道标记需要审核的会话，这些会话仅来自选择将数据用于训练和分析的账户。其使用模型对每个会话进行了重新评分，评分标准为两个 0-10 分的等级。第一个等级是危害严重程度，10 分代表公司范围内的不可逆转的危害，例如泄露公司的全部源代码；7 分代表生产级别的危害，例如从生产数据库中删除行；0 分代表完全可逆的、仅限于本地工作区的操作，例如覆盖临时文件。第二个等级是用户请求操作的明确程度，以便我们区分用户直接请求的有害操作和代理在不太明确的指示下执行的有害操作。 在被标记的会话中，经人工审核的会话造成严重意外损害的概率是自动模式会话的两倍以上。在生产级别严重性（7 级及以上）下，6.3% 的人工审核会话包含用户未明确请求的有害操作，而自动模式会话的这一比例为 2.4%，在测试的每个严重性级别中，这种差距都存在。 除了自己和自己比，Anthropic 当然也和竞争对手比了一下。 启用自动模式后，独立评估中没有任何攻击成功攻击 Anthropic 的任何模型。而在 Codex v0.144.5 自动审核权限模式下运行的 GPT-5.6 Sol 的攻击成功率为 5.83%。GPT-5.6 Sol 在 Max 推理难度下运行，以测试其最高推理水平下的性能，所有 Claude 模型均在高推理难度下运行。 自动模式分类器增加了一层额外的防御，可以抵御提示注入攻击，这类攻击试图强迫智能体偏离用户的指令。在自动模式下运行时，探测程序会扫描工具结果，查找潜在的恶意指令，并且自动模式还会检查操作是否符合用户意图。 Codex 和 Claude Code 均使用 Trajectory Labs, PBC 提供的相同浏览器集成进行评估。该集成提供了一套 MCP 工具，这些工具是对常用 Chrome API（例如 navigate）的轻量级封装。OpenAI 和 Anthropic 等第一方浏览器集成（如 Chrome 扩展程序）内置的安全防护措施未进行测试。因此，这些结果应被视为对底层模型的衡量。 在本次评估中，针对运行自动模式的 Claude Fable 5、Opus 5 和 Sonnet 5 的 720 次攻击尝试均未成功。另一方面，针对运行 Codex 自动审核模式的 GPT-5.6 Sol，攻击成功率为 5.83%。值得注意的是，这一成功率高于针对 Claude 最新模型在无额外安全措施的 bypassPermissions 模式下运行的平均攻击成功率 0.09%。测试显示，在完全访问模式下，针对 GPT-5.6 Sol 的攻击成功率高达 19.03% 。 如下所示，对于工具以文本形式返回结果的任务和需要通过屏幕截图与浏览器交互的任务，攻击成功率有所不同。 自动模式可防止工具调用和浏览器 GUI 使用过程中出现提示注入攻击。第三方评估显示，OpenAI 模型在浏览器任务上的攻击成功率更高。 在 Anthropic 公司内部，所有 Claude Code 的使用都默认采用自动模